為什么要開展等級保護(hù)工作?
1)通過等級保護(hù)工作發(fā)現(xiàn)單位信息系統(tǒng)存在的安全隱患和不足,進(jìn)行安全整改之后,提高信息系統(tǒng)的信息安全防護(hù)能力,降低系統(tǒng)被各種攻擊的風(fēng)險(xiǎn),維護(hù)單位良好的形象。
2)等級保護(hù)是我國關(guān)于信息安全的基本政策,國家法律法規(guī)、相關(guān)政策制度要求單位開展等級保護(hù)工作。如《信息安全等級保護(hù)管理辦法》和《中華人民共和國網(wǎng)絡(luò)安全法》。
3)很多行業(yè)主管單位要求行業(yè)客戶開展等級保護(hù)工作,目前已經(jīng)下發(fā)行業(yè)要求文件的有:金融、電力、廣電、醫(yī)療、教育等行業(yè),還有一些主管單位發(fā)過相關(guān)文件或通知要求去做。
4)落實(shí)個(gè)人及單位的網(wǎng)絡(luò)安全保護(hù)義務(wù),合理規(guī)避風(fēng)險(xiǎn)。
網(wǎng)絡(luò)安全等級保護(hù)是國家信息安全保障的基本制度、基本策略、基本方法。網(wǎng)絡(luò)安全等級保護(hù)工作是對信息和信息載體按照重要性等級分級別進(jìn)行保護(hù)的一種工作。信息系統(tǒng)運(yùn)營、使用單位應(yīng)當(dāng)選擇符合國家要求的測評機(jī)構(gòu),依據(jù)《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求》等技術(shù)標(biāo)準(zhǔn),定期對信息系統(tǒng)開展測評工作。
接下來從法律要求、安全要求、行業(yè)要求三個(gè)層面說明為什么要做等保。
法律要求層面等級保護(hù)制度可謂歷史悠久,早在1994年國務(wù)院頒布的《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例 》中就規(guī)定計(jì)算機(jī)信息系統(tǒng)實(shí)行安全等級保護(hù),隨后有多部法規(guī)、國家標(biāo)準(zhǔn)對信息安全進(jìn)行了規(guī)定。
2017年《網(wǎng)絡(luò)安全法》生效,生效后等級保護(hù)由“信息安全”等級保護(hù)轉(zhuǎn)變?yōu)椤熬W(wǎng)絡(luò)安全”等級保護(hù)。從“信息”到“網(wǎng)絡(luò)”的轉(zhuǎn)變,從側(cè)面反映出保護(hù)對象從硬件中的信息拓展至信息的載體。同時(shí),在《網(wǎng)絡(luò)安全法》生效后,國家大力開展“凈網(wǎng)行動(dòng)”,就有大量因未履行等級保護(hù)義務(wù)而受到處罰的執(zhí)法案例。
2018年11月,上海某不銹鋼管有限公司互聯(lián)網(wǎng)信息系統(tǒng)發(fā)生重大網(wǎng)絡(luò)安全事件,并對公共互聯(lián)網(wǎng)安全產(chǎn)生嚴(yán)重威脅。市通信管理局依據(jù)《網(wǎng)絡(luò)安全法》、工業(yè)和信息化部《公共互聯(lián)網(wǎng)網(wǎng)絡(luò)安全威脅監(jiān)測與處置辦法》等有關(guān)要求,組織相關(guān)網(wǎng)絡(luò)接入服務(wù)單位對涉事系統(tǒng)采取停止服務(wù)和屏蔽措施,及時(shí)阻斷網(wǎng)絡(luò)安全威脅的擴(kuò)散;同時(shí),責(zé)令涉事單位暫停相關(guān)系統(tǒng)的互聯(lián)網(wǎng)信息服務(wù),限期落實(shí)網(wǎng)絡(luò)安全整改,在整改工作完成之前,涉事系統(tǒng)及其關(guān)聯(lián)平臺不得上線。
2019年1月,宜賓學(xué)院因網(wǎng)絡(luò)安全責(zé)任意識淡薄、聯(lián)網(wǎng)備案制度和網(wǎng)絡(luò)安全等級保護(hù)制度落實(shí)不到位,導(dǎo)致“移動(dòng)圖書館館藏書目查詢平臺”的頁面被攻擊篡改。宜賓市翠屏區(qū)公安分局網(wǎng)安大隊(duì)依據(jù)《網(wǎng)絡(luò)安全法》,對宜賓學(xué)院作出罰款80000元,對直接負(fù)責(zé)的主管人員作出罰款10000元的處罰;依據(jù)《計(jì)算機(jī)信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)安全保護(hù)管理辦法》,對學(xué)院“移動(dòng)圖書館館藏書目查詢平臺”未履行備案職責(zé),作出停機(jī)整頓六個(gè)月的處罰。
2019年4月,江蘇某通信技術(shù)公司因安全責(zé)任意識淡薄、網(wǎng)絡(luò)安全等級保護(hù)制度落實(shí)不到位、管理制度和技術(shù)防護(hù)措施嚴(yán)重缺失,導(dǎo)致該公司業(yè)務(wù)管理系統(tǒng)遭受攻擊破壞。南京警方依據(jù)《網(wǎng)絡(luò)安全法》第21條、第59條規(guī)定,對該公司予以罰款10000元,對法人袁某(男,66歲,南京人)予以罰款5000元,同時(shí)責(zé)令限期整改,落實(shí)網(wǎng)絡(luò)安全等級保護(hù)制度。
從諸多案例中可以看到,大量執(zhí)法案例的發(fā)生圍繞著等級保護(hù)制度,并且大多是在網(wǎng)站發(fā)生安全事故以后,被公安部門所處罰,而且不乏對企業(yè)負(fù)責(zé)人的處罰?!毒W(wǎng)絡(luò)安全法》與等級保護(hù)已經(jīng)不僅是需要IT或者安全部門關(guān)注的事項(xiàng),同樣成為企業(yè)法務(wù)、合規(guī)工作中不可回避的問題。
安全要求層面等級保護(hù)制度可有效保護(hù)基礎(chǔ)信息網(wǎng)絡(luò)和關(guān)系國家安全、經(jīng)濟(jì)命脈、社會(huì)穩(wěn)定的重要信息系統(tǒng)的安全,維護(hù)國家信息安全,有效提高企業(yè)信息和信息系統(tǒng)安全建設(shè)的整體水平,有效控制企業(yè)信息安全建設(shè)成本,有利于企業(yè)明確國家、法人和其他組織、公民的信息安全責(zé)任,加強(qiáng)企業(yè)信息安全管理。
以新明確的等級保護(hù)對象物聯(lián)網(wǎng)為例,新標(biāo)準(zhǔn)中對于物聯(lián)網(wǎng)的等級保護(hù),依據(jù)物聯(lián)網(wǎng)架構(gòu)的三個(gè)邏輯層次,即感知層、網(wǎng)絡(luò)傳輸層和處理應(yīng)用層,提出了具體的技術(shù)要求。
而利用安徽靈狐網(wǎng)絡(luò)科技推出的網(wǎng)絡(luò)安全等級保護(hù)測評服務(wù),即可按照感知層、傳輸層、應(yīng)用層的體系框架,針對安全通用要求和物聯(lián)網(wǎng)安全擴(kuò)展要求,制定立體性、先進(jìn)性和綜合性的物聯(lián)網(wǎng)等保合規(guī)解決方案。
行業(yè)要求層面
在金融、電力、廣電、醫(yī)療、教育等行業(yè),主管單位明確要求從業(yè)機(jī)構(gòu)的信息系統(tǒng)要開展等級保護(hù)工作。
各行業(yè)的管理辦法無不透露一點(diǎn):等保已成為許多行業(yè)的必需品。同時(shí),等保測評是監(jiān)管機(jī)構(gòu)指定的備案材料,是監(jiān)管檢查的依據(jù),也是國家發(fā)改委等一些單位項(xiàng)目驗(yàn)收的必要步驟。
開展網(wǎng)絡(luò)安全等級保護(hù)工作是保護(hù)信息化發(fā)展、維護(hù)網(wǎng)絡(luò)安全的保障,是網(wǎng)絡(luò)安全防護(hù)工作中國家意志的體現(xiàn)。安徽靈狐科技推出的網(wǎng)絡(luò)安全等級保護(hù)測評,幫助工作人員完成等級保護(hù)建設(shè)工作的同時(shí),切實(shí)提升網(wǎng)絡(luò)安全防護(hù)能力,使客戶信息系統(tǒng)或網(wǎng)絡(luò)滿足國家等級保護(hù)基本要求,全方位助力互聯(lián)網(wǎng)安全發(fā)展。